Mục đích của đối số -nodes trong openssl là gì?

Mục đích của -nodesđối số trong openssl là gì?

Tùy chọn -nodeskhông phải là từ tiếng Anh "node", mà là "no DES". Khi được cung cấp dưới dạng đối số, điều đó có nghĩa là OpenSSL sẽ không mã hóa khóa cá nhân trong tệp PKCS # 12 .

Để mã hóa khóa cá nhân, bạn có thể bỏ qua -nodesvà khóa của bạn sẽ được mã hóa bằng 3DES-CBC. Để mã hóa khóa, OpenSSL sẽ nhắc bạn nhập mật khẩu và nó sử dụng mật khẩu đó để tạo khóa mã hóa bằng chức năng lấy ra khóa EVP_BytesToKey .

Tùy thuộc vào phiên bản OpenSSL của bạn và các tùy chọn đã biên dịch, bạn có thể cung cấp các tùy chọn này thay cho -nodes:

-des          encrypt private keys with DES
-des3         encrypt private keys with triple DES (default)
-idea         encrypt private keys with idea
-seed         encrypt private keys with seed
-aes128, -aes192, -aes256
              encrypt PEM output with cbc aes
-camellia128, -camellia192, -camellia256
              encrypt PEM output with cbc camellia

Cuối cùng ở cấp thư viện, OpenSSL gọi hàm PEM_write_bio_PrivateKey với thuật toán mã hóa (hoặc thiếu) mà bạn chọn.

chỉnh sửa: nginx v1.7.3 đã thêm chỉ thị ssl_password_file đọc cụm mật khẩu từ một tệp được chỉ định thử từng cụm mật khẩu trên mã hóa-private.key của ngữ cảnh

indiv đúng rằng -nodesđối số có nghĩa là OpenSSL sẽ tạo private.key không được mã hóa ; nếu không, sẽ có một lời nhắc cụm mật khẩu để tạo mã hóa-private.key . xem req , pkcs12 , CA.pl

tuy nhiên, tôi cảm thấy mục đích (dành cho các lập trình viên) là vì:

• Máy chủ HTTP (ví dụ: Apache , Nginx ) không thể đọc mã hóa-private.key mà không có cụm mật khẩu →
  • Tùy chọn A - mỗi khi máy chủ HTTP khởi động, phải cung cấp cụm mật khẩu cho khóa -private.key được mã hóa
  • Tùy chọn B - chỉ định ssl_password_file file.keys;trong http { }hoặc server { }ngữ cảnh. [tham khảo ]
  • Tùy chọn C - sử dụng -nodesđể tạo private.key mà không cần mã hóa

hữu ích: khóa private.key

• {thêm máy chủ HTTP vào nhóm ssl-cert }
• sudo chown root:ssl-cert private.key- ch ange own er of private.key cho người dùng root , nhóm ssl-cert
• sudo chmod 640 private.key- thay đổi quyền truy cập private.key thành chủ sở hữu R / W, nhóm R
• bây giờ, máy chủ HTTP sẽ có thể khởi động và đọc private.key chưa được mã hóa

Lựa chọn A

bảo mật mạnh mẽ hơn, nhưng khi máy chủ khởi động lại, phải nhập cụm mật khẩu theo cách thủ công cho khóa -private.key được mã hóa

Lựa chọn B

bảo mật trung bình và có thể cân bằng tốt giữa A / C

Lựa chọn C

bảo mật yếu hơn, nhưng KHÔNG được nhắc nhập cụm mật khẩu private.key chưa được mã hóa